Zyxel випустила патч для zero-day вразливості в комутаторах серії GS1900, яку зловмисники використовували для компрометації майже 1000 пристроїв по всьому світу. Згідно з повідомленням BleepingComputer, хакери використали цю ваду для викрадення конфігураційних файлів і облікових даних. Якщо ви використовуєте один із цих комутаторів вдома, у невеликому офісі або в домашній лабораторії, zero-day вразливість Zyxel GS1900 — це вагома причина перевірити прошивку вже сьогодні.
Що сталося з комутаторами Zyxel GS1900
Наявні наразі факти є однозначними. Раніше невідому ваду в серії GS1900 експлуатували ще до появи виправлення. Зловмисники використали її, щоб зламати близько 1000 пристроїв по всьому світу та викрасти конфіденційні дані, зокрема конфігураційні файли й облікові дані. Zyxel наразі випустила патч.
У джерелі не наведено повного технічного розбору, тому ми не будемо будувати припущень про те, як працює експлойт чи хто за ним стоїть. Для власників важливо одне: ваду використовували в реальних атаках, виправлення вже доступне, а непатчені пристрої залишаються вразливими.
Чому викрадені конфігурації та облікові дані такі небезпечні
Комутатор може здаватися нудною деталлю інфраструктури, але він стоїть у центрі мережі. Його конфігураційний файл фактично є картою цієї мережі й може містити відомості про те, як з'єднані пристрої та як керується комутатор.
Облікові дані ще більше ускладнюють проблему. Викрадені логіни можуть дозволити зловмиснику повернутися пізніше, навіть після виправлення вразливості, якщо паролі так і не були змінені. Облікові дані також часто повторно використовуються на різних пристроях і в сервісах, тож пароль, викрадений з одного комутатора, може стати шляхом до іншого обладнання.
Саме тому після такого інциденту самого лише патчингу може бути недостатньо. Закриття вразливості зупиняє нові вторгнення через цю ваду, але не скасовує дані, які вже були викрадені.
Що означає zero-day для власників мережевого обладнання
Zero-day — це вразливість, яку зловмисники експлуатують до того, як у постачальника з'явиться патч. Захисники не мають фору в часі, і в перший день їм нема чого встановити.
Мережеве обладнання ускладнює це кількома способами:
- Оновлення виконуються вручну. На відміну від телефона чи ноутбука, багато комутаторів і маршрутизаторів не оновлюються самостійно. Хтось має увійти в систему, завантажити прошивку й застосувати її.
- Пристрої забуваються. Комутатор, захований у шафі, може працювати роками, і ніхто на нього не дивиться.
- Видимість обмежена. Ці пристрої рідко запускають безпекове програмне забезпечення, тому компрометація може залишитися непоміченою.
Коли zero-day з'являється в такому обладнанні, проміжок між першими атаками та моментом, коли власники застосують патч, може бути довгим. Саме в цьому проміжку накопичуються компрометації, як-от майже 1000 випадків, про які тут повідомляється.
Як зміцнити комутатори й маршрутизатори вдома та в невеликих офісах
Ви не можете завадити постачальнику випустити продукт із вадою, але можете зменшити ймовірність того, що вона перетвориться на злам. Це загальні найкращі практики, і вони застосовні далеко за межами Zyxel.
- Оновіть прошивку. Якщо ви використовуєте комутатор серії GS1900, перевірте офіційні канали підтримки Zyxel щодо виправленої прошивки та встановіть її.
- Тримайте інтерфейси керування поза інтернетом. Вебсторінки та сторінки віддаленого адміністрування мають бути доступними лише з довіреної внутрішньої мережі або через виділене з'єднання для керування. Перевірте правила переадресації портів і фаєрвола на маршрутизаторі, щоб переконатися, що ніщо не відкриває комутатор.
- Змініть облікові дані. Змініть пароль адміністратора на будь-якому ураженому пристрої, а також будь-які інші паролі, що зберігалися в його конфігурації або повторно використовувалися з неї. Використовуйте унікальний надійний пароль для кожного пристрою.
- Перегляньте конфігурацію. Пошукайте облікові записи, налаштування або зміни, яких ви не впізнаєте. Якщо щось виглядає підозріло, розгляньте можливість відновлення пристрою до відомого справного стану перед повторним застосуванням налаштувань.
- Сегментуйте мережу. Тримайте трафік керування, гостьові пристрої та пристрої розумного дому окремо, де це дозволяє ваше обладнання, щоб один скомпрометований пристрій мав менший доступ.
- Ведіть інвентаризацію. Запишіть кожен мережевий пристрій, який у вас є, його модель і версію прошивки. Ви не можете пропатчити те, про що забули.
VPN може допомогти захистити ваш трафік у недовірених мережах, але він не виправляє вразливий комутатор у вашій власній мережі. Захист самого обладнання — це окреме завдання.
Що це означає для вас
Якщо ви володієте комутатором Zyxel GS1900, ставтеся до цього як до нагального питання. Оновіть прошивку, переконайтеся, що інтерфейс керування недоступний з інтернету, і припускайте, що облікові дані, збережені на відкритому пристрої, могли бути скомпрометовані. Змінити їх — дешеве страхування.
Якщо у вас немає такого пристрою, урок усе одно застосовний. Домашні лабораторії та невеликі офіси часто використовують таке саме мережеве обладнання без нагляду, як і великі організації, але з меншою кількістю людей, які за ним стежать. Зловмисники це знають, і вада в одній продуктовій лінійці може швидко перетворитися на сотні скомпрометованих пристроїв.
Ваші наступні кроки
Zero-day вразливість Zyxel GS1900 — це нагадування про те, що мережеве обладнання заслуговує на таку саму увагу, як ваші комп'ютери й телефони. Зробіть ці три речі вже сьогодні:
- Перевірте прошивку Zyxel і встановіть виправлену версію, якщо ви використовуєте комутатор серії GS1900.
- Вимкніть керування, доступне з інтернету, щоб адміністративна сторінка була доступною лише з вашої довіреної мережі.
- Змініть облікові дані на комутаторі та на всьому, що використовувало його паролі.
Потім додайте в календар нагадування переглядати прошивку всіх мережевих пристроїв кожні кілька місяців. Кілька хвилин обслуговування значно простіші, ніж розчищення наслідків компрометації.
